CVE-2026-33916

Pakiet handlebars w wersji przed 4.0.0 dla Node.js pozwala zdalnym atakującym na przeprowadzanie ataków cross-site scripting (XSS) poprzez wykorzystanie szablonu z atrybutem, który nie jest ujęty w cudzysłów.

Handlebars od wersji 4.0.0 do 4.7.10 akceptuje wstępnie sparsowane obiekty AST w metodach compile() i precompile(), walidując tylko wybrane wartości. Atakujący, który może dostarczyć obiekt zamiast stringa szablonu, może umieścić wyrażenia JavaScript w niesprawdzanych wartościach, co prowadzi do wykonania kodu na serwerze. Aplikacje przekazujące tylko stringi szablonów nie są zagrożone. Problem naprawiono w wersji 4.7.10.

Handlebars w wersjach od 3.0.0 do 4.7.10 zawiera podatność polegającą na tym, że funkcja lookupProperty zwraca Function.prototype.constructor przed zastosowaniem listy zabronionych właściwości prototype. Pozwala to osobie atakującej, która może renderować kontrolowany szablon z włączonym allowProtoMethodsByDefault, na dostęp do konstruktora Function przez obejście, co umożliwia wykonanie dowolnego kodu JavaScript z uprawnieniami aplikacji serwera.

Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie złośliwego kodu JavaScript do wygenerowanego skryptu. Problem wynika z braku sanityzacji wartości w węźle AST `NumberLiteral` podczas kompilacji szablonów. Atakujący może dostarczyć spreparowany obiekt AST do funkcji `Handlebars.compile()`, co prowadzi do wykonania dowolnego kodu na serwerze.

Pakiet handlebars przed wersją 4.7.7 jest podatny na Prototype Pollution, gdy wybiera się określone opcje kompilacji do kompilowania szablonów pochodzących z niezaufanego źródła.

Pakiet handlebars przed wersją 4.7.7 jest podatny na zdalne wykonanie kodu (RCE) przy wyborze pewnych opcji kompilacji do kompilowania szablonów pochodzących z niezaufanego źródła.

Wersje handlebars przed 4.3.0 są podatne na zanieczyszczenie prototypu (Prototype Pollution), które może prowadzić do zdalnego wykonania kodu. Szablony mogą modyfikować właściwości __proto__ i __defineGetter__ obiektu, co może pozwolić atakującemu na wykonanie dowolnego kodu poprzez spreparowane payloady.

W Handlebars od wersji 4.0.0 do 4.7.10 funkcja Handlebars.precompile() używa quotedString() do emitowania statycznego tekstu szablonu do generowanego JavaScriptu bez escapowania sekwencji kończących element script. Gdy aplikacja prekompiluje tekst kontrolowany przez atakującego i osadza wynik w elemencie inline script, atakujący może zamknąć element i wykonać własny kod.

Podatność w Handlebars CLI precompiler (wersje 4.0.0 do 4.7.8) pozwala na wstrzyknięcie kodu JavaScript poprzez niesanitowane nazwy plików szablonów i argumenty CLI. Atakujący może wykorzystać to do wykonania dowolnego kodu w środowisku Node.js lub przeglądarce podczas ładowania wygenerowanego pakietu.

Podatność w bibliotece Handlebars (wersje 4.0.0 do 4.7.8) pozwala atakującemu na zdalne wykonanie kodu na serwerze poprzez wstrzyknięcie spreparowanego obiektu do kontekstu szablonu. Obiekt ten omija zabezpieczenia w funkcji `resolvePartial()` i powoduje skompilowanie złośliwego kodu JavaScript przez `env.compile()`. Problem został naprawiony w wersji 4.7.9.